REST API: session management: allow users to review and log out active sessions, especially because sessions remain active even after password changes

leee

The API documentation only lists the `/revoke` endpoint, which only revokes a specific JWT. The OIDC realm also makes available the `/logout` endpoint, which allows revoking a session entirely.

However, being able to revoke a specific token, or logout a current session, requires having said tokens. If the user discards/forgets these tokens, but believes them to be compromised or simply wishes to revoke/logout unused sessions, they can only wait 30 days of disuse before those refresh tokens fall off.

Users should be allowed to review their active sessions and log them out. Since this is Keycloak, I believe the appropriate areas that we can not access that we should are:

This is especially important as I just discovered that when I change my SCP password, previous refresh tokens still remain active. Lets say I were compromised by an attacker who takes control of my netcup resources through the REST API. Even if I change my password, I would still be compromised.

Along with access to session management, users should be able to revoke all sessions at once as an optional setting during a password change.

**[netcup] Sarah G.**

Hey leee

we very much appreciate your input!

The relevant department has received this information and is currently revising it.

Thank you!

Kind regards
Sarah & the netcup team

**[netcup] Sarah G.**

Hey leee

after revision, we'd like to give you an update:

The account console can now be accessed under https://www.servercontrolpanel.de/realms/scp/account. There, offline tokens can be invalidated under ‘Account security’ - ‘Device activity’.

We hope this is helpful!

Kind regards
Sarah & the netcup team

nitram

Zitat von [netcup] Sarah G.

There, offline tokens can be invalidated under ‘Account security’ - ‘Device activity’.

Kann das sein, dass es hier noch nen Bug gibt?

Weil bei mir tauchen da keine offline tokens auf, wenn ich die wie in der Doku mit

Code

curl -X POST 'https://www.servercontrolpanel.de/realms/scp/protocol/openid-connect/auth/device' \
  -d "client_id=scp" \
  -d 'scope=offline_access openid' | jq

danach

                    
curl -X POST 'https://www.servercontrolpanel.de/realms/scp/protocol/openid-connect/token' \
  -d 'grant_type=urn:ietf:params:oauth:grant-type:device_code' \
  -d 'device_code=<device-code>' \
  -d 'client_id=scp' | jq

Alles anzeigen

generiere.

Ich sehe nur die aktuelle Sitzung von Keycloak und wenn ich mich im servercontrolpanel.de anmelde diese, aber keine anderen tokens von der Api.

**[netcup] Sarah G.**

Zitat von nitram

Kann das sein, dass es hier noch nen Bug gibt?

Weil bei mir tauchen da keine offline tokens auf, wenn ich die wie in der Doku mit

generiere.

Ich sehe nur die aktuelle Sitzung von Keycloak und wenn ich mich im servercontrolpanel.de anmelde diese, aber keine anderen tokens von der Api.

Guten Morgen nitram

danke dir wie immer für das Feedback – wurde weitergegeben und wird vom zuständigen Team geprüft.

Ich wünsch dir einen schönen Tag!

Liebe Grüße
Sarah & das netcup-Team

**[netcup] Sarah G.**

Hallo nitram

vielen Dank nochmals für deine Rückmeldung – diese wurde vom zuständigen Team geprüft.

Du hast vollkommen recht, das wurde in diesem Fall falsch kommuniziert.

Wir werden die entsprechende Dokumentation dazu zeitnah präzisieren.

Der offline token kann über den Menüpunkt "Applications" - "scp" - "remove access" invalidiert werden.

Ich wünschen einen guten Start in die neue Woche!

Liebe Grüße
Sarah & das netcup-Team